Générateur TOTP
Saisissez un secret et générez des codes TOTP à deux facteurs dans votre navigateur — compatible avec Google Authenticator et les autres applications d’authentification.
Un code TOTP est le code à deux facteurs de 6 chiffres qui change toutes les 30 secondes : l’application d’authentification et le serveur le calculent chacun de leur côté à partir d’un secret partagé et de l’heure actuelle (RFC 6238). Collez le secret Base32 de l’écran de configuration 2FA — ou le lien otpauth:// complet — et cette page affiche le code actuel, le suivant et un anneau de compte à rebours, le tout calculé dans votre navigateur : le secret n’est jamais envoyé, stocké ni journalisé. Le guide comment fonctionnent les codes TOTP explique les mathématiques et le problème d’horloge ; associez-y le générateur de mots de passe et de jetons et la SSH Key Suite.
Dernière mise à jour:
🔒 Tous les calculs sont effectués localement dans votre navigateur. Votre secret n’est jamais envoyé à un serveur et n’est jamais stocké.
Comparaison de votre horloge à l'heure du serveur…
Vos codes
Aucun compte pour le moment. Ajoutez un secret ci-dessus et son code apparaîtra ici, actualisé à chaque période. Rien n'est enregistré — recharger la page vide cette liste.
Les limites, en toute honnêteté
Cette page est un confort pour des codes qui vous appartiennent déjà — un téléphone qui charge dans une autre pièce, ou un secret que vous migrez d'une application d'authentification à une autre. Ce n'est pas un domicile sûr et durable pour des secrets : ce que vous collez vit dans la mémoire de cet onglet jusqu'à sa fermeture, sur une machine dont les autres logiciels peuvent aussi lire la mémoire.
Un générateur de codes ne vaut que par la confiance que méritent l'appareil et le navigateur où il tourne. Pour les comptes qui comptent, gardez le secret dans une application d'authentification dédiée ou une clé matérielle sur un appareil que vous contrôlez, n'utilisez cette page que sur un appareil de confiance, et jamais sur un ordinateur partagé ou public.
TOTP prouve que vous détenez le secret au moment de la connexion ; il ne protège pas un secret déjà divulgué. Si un secret a été collé dans un chat, un ticket ou un générateur côté serveur, considérez-le comme brûlé : désactivez puis réactivez la 2FA auprès du service pour émettre un secret neuf.
Quand un générateur TOTP dans le navigateur est le bon outil
Le cas classique est la configuration et la migration. Quand vous activez l'authentification à deux facteurs, le service affiche un QR code et, derrière un lien « impossible à scanner ? », le secret Base32 brut. Saisir ce secret ici et comparer le code avec celui que produit votre application d'authentification prouve que les deux appareils détiennent le même secret — avant de vous déconnecter et de découvrir un écart à vos dépens. La même vérification sert lors du transfert de comptes vers un nouveau téléphone : relisez chaque secret, ajoutez-le ici et confirmez que les codes concordent avec l'ancienne application, fenêtre par fenêtre.
C'est aussi la réponse pratique quand le téléphone n'est pas à portée de main mais que le secret est correctement rangé dans votre gestionnaire de mots de passe : récupérez le secret, générez le code ici et connectez-vous — sans affaiblir le compte en désactivant la 2FA. Des services de Google et GitHub à AWS et votre bureau d'enregistrement de domaine utilisent tous le même schéma RFC 6238, donc un seul générateur couvre chaque compte dont vous détenez le secret.
Ce que le QR code contient vraiment
Chaque QR code d'authentification est une seule ligne de texte : une URI otpauth:// portant le secret, l'émetteur, le nom de votre compte et les paramètres du code (algorithme, chiffres, période). C'est pourquoi cette page accepte le lien entier — collez-le et chaque champ se remplit tout seul. C'est aussi pourquoi une capture d'écran d'un QR de configuration est aussi sensible que le mot de passe lui-même : quiconque le scanne possède une copie permanente de votre second facteur. Ne partagez jamais de captures de configuration, et supprimez-les des bibliothèques de photos synchronisées.
Deux détails décident si un code est accepté. Le premier est l'horloge : le générateur et le serveur doivent tomber d'accord sur la fenêtre actuelle de 30 secondes, et la plupart des serveurs ne pardonnent qu'une fenêtre de chaque côté, donc une horloge décalée d'une minute échoue à chaque fois. Le second, ce sont les paramètres : la plupart des services utilisent SHA-1, 6 chiffres et 30 secondes, mais certains utilisent 8 chiffres ou une période de 60 secondes — si les codes d'ici ne correspondent jamais au service, vérifiez les paramètres avancés par rapport à ce que son écran de configuration précisait.
Termes TOTP, une fois pour toutes
TOTP. Mot de passe à usage unique basé sur le temps (RFC 6238) : un HMAC du compteur de pas de temps, tronqué dynamiquement en un court code décimal.
HOTP. L'algorithme parent basé sur un compteur (RFC 4226). TOTP est HOTP dont le compteur est le nombre de périodes depuis l'époque Unix.
Base32. L'alphabet dans lequel la plupart des secrets 2FA sont écrits (A–Z et 2–7). Un secret de 32 caractères transporte 20 octets — 160 bits — de matériau de clé.
otpauth://. Le format d'URI à l'intérieur de chaque QR de configuration : type, libellé, secret, émetteur, algorithme, chiffres et période, en une seule ligne.
Pas de temps. Le plus souvent 30 secondes. Le générateur et le serveur doivent tomber dans le même pas ; la plupart des serveurs acceptent aussi le pas précédent et le suivant.
Troncature dynamique. L'étape qui transforme un HMAC de plus de 20 octets en un code court : quatre octets sont découpés à partir d'un décalage donné par le dernier demi-octet du condensé.
SHA-1. Toujours le hachage HMAC par défaut pour TOTP. La construction reste solide ici, car la sécurité de HMAC ne repose pas sur la résistance aux collisions.
Codes de secours. Codes de récupération à usage unique qu'un service émet lors de la configuration. Ils contournent entièrement TOTP — conservez-les comme des mots de passe, et jamais avec le secret.
Écart d'horloge. L'écart entre l'horloge d'un appareil et l'heure vraie. Un écart supérieur à une période rend chaque code généré faux, si correct que soit le secret.
Questions fréquentes
Est-il sûr de générer des codes 2FA dans un navigateur ?
Sur cette page, le secret ne quitte jamais votre navigateur : les codes sont calculés dans la mémoire de la page avec WebCrypto, rien n'est téléversé, stocké ni journalisé, et un rechargement efface le secret. Le schéma dangereux est un générateur côté serveur, où votre secret traverse le réseau et finit dans les journaux et bases de données de quelqu'un d'autre. Même en local, n'utilisez qu'un appareil de confiance — le secret ne vaut que par la sécurité de la machine où il est saisi.
Pourquoi mon code est-il refusé ?
Le plus souvent, l'horloge : si l'appareil qui génère le code et le serveur ne s'accordent pas sur la fenêtre actuelle de 30 secondes, chaque code est faux. Consultez la carte d'horloge sur cette page et activez la date et l'heure automatiques. Suspects suivants : les paramètres (un service en 8 chiffres ou période de 60 secondes) et un secret périmé — si vous avez réactivé la 2FA, l'ancien secret est mort à cet instant.
Quelle est la différence entre TOTP et HOTP ?
Le compteur. HOTP (RFC 4226) incrémente un compteur à chaque usage ; TOTP (RFC 6238) déduit le compteur de l'horloge, donc les codes expirent d'eux-mêmes. Les applications d'authentification et cette page parlent TOTP. Les liens HOTP à compteur existent, mais cette page les refuse ouvertement plutôt que d'inventer un code.
Cela peut-il remplacer mon application d'authentification ?
Tant que la page est ouverte, elle produit des codes identiques — les mathématiques sont les mêmes. Comme domicile permanent, non : rien ne persiste ici, par conception, et un onglet de navigateur n'est pas l'endroit où un secret de longue durée doit vivre. Gardez le secret dans votre application d'authentification ou votre gestionnaire de mots de passe et utilisez cette page pour les vérifications de configuration, les migrations et les urgences.
J'ai collé mon secret dans un chat une fois. Que faire ?
Considérez-le comme divulgué. Les chats sont journalisés, synchronisés et interrogeables, et quiconque détient le secret peut générer vos codes pour toujours. Allez dans le service, désactivez puis réactivez l'authentification à deux facteurs pour émettre un secret neuf, réinscrivez votre authentificateur et passez en revue l'activité récente du compte. Vérifiez ensuite le mot de passe lui-même dans la vérification de mots de passe divulgués.